4장. 클라우드 책임 공유 모델의 이해

1. 클라우드를 쓰면 모든 책임이 사라질까

클라우드를 처음 접하면 이런 생각을 할 수 있다.

서버를 빌렸으니, 보안과 장애도 클라우드가 다 책임지는 것 아닐까?

하지만 그렇지 않다.

클라우드는 모든 책임을 대신해주는 서비스가 아니다.
클라우드 사업자와 사용자 사이에 책임이 나뉘어 있다.

이것을 책임 공유 모델(Shared Responsibility Model) 이라고 한다.

2. 책임 공유 모델이란 무엇인가

책임 공유 모델은 다음을 의미한다.

클라우드는 인프라의 일부를 책임지고,
사용자는 그 위에서 동작하는 것에 대해 책임진다.

예를 들어 Amazon Web Services 는
자사 공식 문서에서 이 모델을 명확히 설명하고 있다.

핵심은 다음과 같다.

• 클라우드는 클라우드 자체의 보안(Security of the Cloud) 을 책임진다.
• 사용자는 클라우드 위에서 사용하는 것(Security in the Cloud) 을 책임진다.

3. 물리 인프라에 대한 책임

클라우드 사업자가 책임지는 영역은 다음과 같다.

• 데이터센터 건물 보안
• 물리 서버 장비
• 네트워크 장비
• 전력 및 냉각 시스템
• 하이퍼바이저 계층

즉, 우리가 직접 접근할 수 없는 물리 영역은
클라우드가 책임진다.

온프레미스라면 우리가 직접 관리해야 할 부분이다.

4. 운영체제와 애플리케이션은 누가 책임질까

여기서부터는 서비스 모델에 따라 달라진다.

IaaS의 경우

• 물리 서버 → 클라우드 책임
• 가상 서버 → 클라우드 책임
• 운영체제 → 사용자 책임
• 애플리케이션 → 사용자 책임
• 데이터 → 사용자 책임

즉, OS부터 위는 우리가 관리한다.

PaaS의 경우

• 운영체제 → 클라우드 책임
• 런타임 환경 → 클라우드 책임
• 애플리케이션 코드 → 사용자 책임
• 데이터 → 사용자 책임

관리 범위가 줄어든다.

SaaS의 경우

• 인프라 → 클라우드 책임
• 플랫폼 → 클라우드 책임
• 애플리케이션 운영 → 클라우드 책임
• 데이터 입력 및 접근 권한 관리 → 사용자 책임

SaaS에서도 데이터 보호와 접근 제어는
사용자의 책임이다.

5. 실제 사고 사례를 생각해보자

예를 들어 이런 상황을 가정해보자.

• 서버에 보안 패치를 적용하지 않았다.
• 관리자 비밀번호를 단순하게 설정했다.
• 데이터베이스를 외부에 공개했다.

이 경우 책임은 누구에게 있을까?

클라우드가 아니라
사용자에게 있다.

클라우드는 “환경”을 제공하지만,
그 위의 설정 실수까지 대신 책임지지는 않는다.

6. 책임 공유 모델이 중요한 이유

클라우드 전환을 고려할 때
가장 흔한 오해 중 하나는 다음이다.

클라우드로 가면 보안이 자동으로 해결된다.

하지만 실제로는

• 잘못된 권한 설정
• 과도하게 열린 네트워크
• 암호화 미적용
• 백업 미구성

등은 여전히 사용자의 책임이다.

따라서 클라우드는 보안을 없애는 기술이 아니라,
보안의 경계를 바꾸는 모델이다.

7. 책임 공유 모델을 한눈에 정리하면

오른쪽으로 갈수록
사용자의 관리 범위는 줄어든다.
하지만 데이터 책임은 항상 사용자에게 있다.

8. 정리

이 장에서 기억해야 할 핵심은 다음과 같다.

1. 클라우드는 모든 책임을 대신해주지 않는다.
2. 물리 인프라는 클라우드가 책임진다.
3. 운영체제와 애플리케이션은 모델에 따라 달라진다.
4. 데이터 보호 책임은 항상 사용자에게 있다.
5. 보안은 사라지는 것이 아니라 경계가 이동하는 것이다.